KI, Recht & Datenschutz
KI-Telefonassistent und Datenschutz: Was Schweizer KMU beachten müssen
Welche Daten ein KI-Telefonassistent verarbeitet
Ein KI-Telefonassistent ist eine Software, die eingehende oder ausgehende Telefonate selbstständig führt: Sie versteht gesprochene Sprache, antwortet mit einer synthetischen Stimme und erledigt Aufgaben wie Terminvereinbarung, Auskunft oder Weiterleitung. Aus Datenschutzsicht ist entscheidend, dass dabei laufend Personendaten anfallen – die Stimme selbst, der Name, die Telefonnummer, das Anliegen und oft weitere Angaben, die Anrufende beiläufig nennen.
- Stimmaufnahmen und Transkripte gelten als Personendaten; werden Stimmen zur Identifikation genutzt, entstehen biometrische und damit besonders schützenswerte Personendaten.
- Gesundheits-, Finanz- oder religiöse Angaben, die im Gespräch fallen, sind besonders schützenswert und verlangen erhöhte Sorgfalt.
- Metadaten wie Rufnummer, Zeitpunkt und Dauer sind ebenfalls Personendaten, auch ohne Namensnennung.
revDSG/nDSG-Grundlagen für Sprachassistenten
Massgeblich ist das revidierte Datenschutzgesetz (revDSG/nDSG), in Kraft seit dem 1. September 2023; Aufsichtsbehörde ist der EDÖB. Es kennt keine generelle Bewilligungspflicht, sondern verpflichtet Unternehmen zu einer verantwortungsvollen Bearbeitung. Wer einen KI-Telefonassistenten einsetzt, ist als «verantwortliche Person» dafür zuständig, dass die Bearbeitungsgrundsätze eingehalten werden – unabhängig davon, ob die Technik selbst entwickelt oder von einem Anbieter bezogen wird.
- Zweckbindung: Daten nur für den angekündigten Zweck (z. B. Terminbuchung) nutzen, nicht heimlich für Training oder Marketing.
- Datenminimierung und Verhältnismässigkeit: nur erfassen und speichern, was wirklich nötig ist, und Aufbewahrungsfristen definieren.
- Privacy by Design und by Default sowie ein Bearbeitungsverzeichnis; bei hohem Risiko eine Datenschutz-Folgenabschätzung.
- Betroffenenrechte: Anrufende können Auskunft, Berichtigung und Löschung verlangen – die Prozesse müssen das abbilden können.
Transparenzpflicht: Anrufende über die KI informieren
Transparenz ist der sensibelste Punkt bei KI-Telefonassistenten. Anrufende sollen nicht getäuscht werden: Sie müssen erkennen können, dass sie mit einer Maschine und nicht mit einem Menschen sprechen. Das revDSG verlangt eine angemessene Information über die Bearbeitung von Personendaten. Parallel dazu schreibt Artikel 50 des EU AI Act ausdrücklich vor, dass Menschen darüber zu informieren sind, wenn sie mit einem KI-System interagieren, sofern dies nicht ohnehin offensichtlich ist. Der EU AI Act wirkt extraterritorial und kann Schweizer Unternehmen erfassen, die sich an Personen in der EU richten.
- Ansage zu Gesprächsbeginn: klar und kurz kommunizieren, dass ein KI-Assistent antwortet, und einen Weg zu einem Menschen anbieten.
- Aufzeichnung: Das heimliche Aufnehmen nicht-öffentlicher Gespräche ist nach Art. 179bis StGB strafbar – Aufzeichnung nur mit vorheriger Information und Rechtsgrundlage.
- Datenschutzerklärung: Zweck, Empfänger, Aufbewahrung und allfällige Auslandübermittlung leicht auffindbar dokumentieren.
Datenverarbeitung: Cloud, Auftragsbearbeiter und Auslandübermittlung
Die meisten KI-Telefonassistenten stützen sich auf Cloud-Dienste und Sprachmodelle externer Anbieter. Diese sind aus Sicht des revDSG in der Regel Auftragsbearbeiter: Ihr Einsatz braucht einen Vertrag, der Zweck, Sicherheit und den Ausschluss zweckfremder Nutzung regelt, sowie die Kontrolle über beigezogene Unterauftragsbearbeiter. Werden Daten ins Ausland übermittelt – etwa in ein US-Rechenzentrum –, ist ein angemessenes Schutzniveau sicherzustellen, notfalls über Standardvertragsklauseln und ergänzende Massnahmen.
- Prüfen, wo Sprache verarbeitet und gespeichert wird – Standort und Rechtsraum des Anbieters sind entscheidend.
- Vertraglich ausschliessen, dass Gesprächsinhalte ohne Grundlage zum Modelltraining verwendet werden.
- Technische Sicherheit: Verschlüsselung, Zugriffskontrollen und definierte Löschfristen für Aufnahmen und Transkripte.
Häufige Fehler und eine kurze Praxis-Checkliste
Viele Probleme entstehen nicht durch die Technik, sondern durch fehlende Transparenz und unklare Verantwortlichkeiten. Ein Schweizer KMU, das den Telefonempfang mit einer KI automatisiert, sollte das Vorhaben wie jede andere Datenbearbeitung behandeln: dokumentiert, minimal und nachvollziehbar. Die folgenden Punkte fassen die typischen Stolperfallen zusammen.
- Fehler: Anrufende im Unklaren lassen, ob sie mit einer KI sprechen. Besser: klare Ansage plus Mensch-Option.
- Fehler: Alles aufzeichnen «für alle Fälle». Besser: nur Nötiges, mit Frist und Grundlage.
- Fehler: Anbieter ohne Auftragsbearbeitungsvertrag nutzen. Besser: Vertrag, Unterauftragsbearbeiter und Serverstandort klären.
- Fehler: Betroffenenrechte nicht bedienen können. Besser: Prozess für Auskunft und Löschung vorsehen.
Häufige Fragen
Muss ich Anrufenden sagen, dass ein KI-Telefonassistent antwortet?
Ja, Transparenz ist zentral. Anrufende sollen nicht getäuscht werden und müssen erkennen können, dass sie mit einer KI sprechen. Das ergibt sich aus dem Transparenzgrundsatz des revDSG und – bei Bezug zur EU – ausdrücklich aus Artikel 50 des EU AI Act. Eine klare Ansage zu Gesprächsbeginn ist die einfachste Lösung.
Darf ein KI-Telefonassistent Gespräche aufzeichnen?
Nur mit vorheriger Information und einer Rechtsgrundlage. Das heimliche Aufnehmen nicht-öffentlicher Gespräche ist in der Schweiz nach Art. 179bis StGB strafbar. Wer aufzeichnet, muss zu Beginn informieren, den Zweck nennen, die Speicherdauer begrenzen und die Aufnahmen sicher verwahren.
Gilt der EU AI Act für Schweizer Unternehmen?
Er kann. Der EU AI Act wirkt extraterritorial und erfasst auch Anbieter oder Betreiber ausserhalb der EU, wenn sich ihr KI-System an Personen in der EU richtet oder dort Wirkung entfaltet. Ein Schweizer KMU mit Kundschaft in der EU sollte die Transparenzpflicht nach Artikel 50 deshalb einplanen. Dies ersetzt keine individuelle Rechtsberatung.
Wo werden die Sprachdaten eines KI-Telefonassistenten verarbeitet?
Das hängt vom Anbieter ab und ist eine Kernfrage. Viele Dienste verarbeiten Sprache in Cloud-Rechenzentren, teils im Ausland. Nach revDSG sind solche Anbieter meist Auftragsbearbeiter und brauchen einen Vertrag; bei Übermittlung ins Ausland ist ein angemessenes Schutzniveau sicherzustellen. Klären Sie Serverstandort, Unterauftragsbearbeiter und ob Inhalte fürs Modelltraining genutzt werden.
Welche ersten Schritte sollte ein KMU vor der Einführung machen?
Zweck und Datenarten festlegen, den Anbieter samt Serverstandort und Auftragsbearbeitungsvertrag prüfen, die Transparenzansage und Datenschutzerklärung vorbereiten, Aufbewahrungs- und Löschfristen definieren sowie Prozesse für Auskunfts- und Löschbegehren einrichten. Bei hohem Risiko empfiehlt sich eine Datenschutz-Folgenabschätzung. Diese Übersicht ist allgemein und ersetzt keine individuelle Rechtsberatung.
Begriffe im Glossar
Praktische KI für Ihr Unternehmen
Von der Idee zur Umsetzung – wir zeigen Ihnen, was in Ihrem Fall konkret möglich ist.
Demo anfordern